Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

--- settings:userlogins [2026/07/27 21:44] – Rollenhierarchie-Pyramide ergänzt mlumme_redaktion
+++ settings:userlogins [2026/08/25 19:16] (aktuell) – mlumme_redaktion
@@ Zeile 2: / Zeile 2: @@
 Diese Liste führt alle Kundenkonten auf, die einen Login für das Backend besitzen. Die Rollen werden im Kundenkonto zugewiesen.
-{{ :settings:benutzerinnen.png?400 |/Users/mischalumme/Desktop/Bildschirmfoto 2026-06-08 um 21.12.03.png}}
+{{ :settings:benutzerinnen.png?400 |}}
 Die folgenden Rollen können zugewiesen werden:
@@ Zeile 15: / Zeile 15: @@
   * Developer
+===== Rollen und Berechtigungen in inOne =====
-===== Rollenhierarchie (Übersicht) =====
+==== Wie funktioniert der Zugriff in inOne? ====
-Die Rollen sind aufeinander aufbauend — eine höhere Rolle schließt alle Rechte der darunter liegenden Stufen ein. Auf eine Stufe klicken zeigt die jeweiligen Funktionen.
+inOne verwendet ein sogenanntes **Role-Based Access Control**-System (kurz **RBAC**) – ergänzt um **Field-Level Security**. Jeder Account erhält eine **Rolle**, und jede Rolle definiert, welche Bereiche und Funktionen zugänglich sind. Einzelne Datenfelder können darüber hinaus mit einer eigenen Mindestberechtigung geschützt werden.
-<HTML>
+==== Rollenhierarchie ====
-<style>
-  .inone-pyramid-wrap{display:flex;flex-direction:column;align-items:center;gap:0;width:100%;max-width:620px;margin:16px auto;}
-  .inone-level{display:flex;align-items:center;justify-content:center;width:100%;cursor:pointer;transition:filter .15s,transform .15s;position:relative;}
-  .inone-level:hover{filter:brightness(1.06);transform:scaleY(1.03);z-index:10;}
-  .inone-bar{display:flex;flex-direction:column;align-items:center;text-align:center;padding:12px 20px;border-radius:3px;transition:box-shadow .15s;}
-  .inone-level:hover .inone-bar{box-shadow:0 4px 16px rgba(0,0,0,.18);}
-  .inone-label{font-weight:700;font-size:.9rem;white-space:nowrap;}
-  .inone-desc{font-size:.72rem;opacity:.85;line-height:1.3;}
-  .l1 .inone-bar{width:140px;background:#1e3a5f;color:#fff;clip-path:polygon(8% 0%,92% 0%,100% 100%,0% 100%);}
-  .l2 .inone-bar{width:210px;background:#2c5282;color:#fff;clip-path:polygon(6% 0%,94% 0%,100% 100%,0% 100%);}
-  .l3 .inone-bar{width:280px;background:#2b6cb0;color:#fff;clip-path:polygon(5% 0%,95% 0%,100% 100%,0% 100%);}
-  .l4 .inone-bar{width:350px;background:#3182ce;color:#fff;clip-path:polygon(4% 0%,96% 0%,100% 100%,0% 100%);}
-  .l5 .inone-bar{width:420px;background:#63b3ed;color:#1a1a1a;clip-path:polygon(3% 0%,97% 0%,100% 100%,0% 100%);}
-  .l6 .inone-bar{width:490px;background:#bee3f8;color:#1a4a7a;clip-path:polygon(2% 0%,98% 0%,100% 100%,0% 100%);}
-  .l7 .inone-bar{width:560px;background:#e2e8f0;color:#4a5568;clip-path:polygon(1% 0%,99% 0%,100% 100%,0% 100%);outline:2px dashed #cbd5e0;}
-  .inone-detail{display:none;background:#fff;border:1px solid #d8d5ce;border-radius:6px;padding:16px 20px;max-width:580px;width:100%;margin:8px auto;}
-  .inone-detail.active{display:block;}
-  .inone-detail h4{font-size:.95rem;font-weight:700;margin-bottom:8px;}
-  .inone-detail ul{list-style:none;padding:0;margin:0;display:flex;flex-direction:column;gap:4px;}
-  .inone-detail ul li{font-size:.82rem;color:#2d3748;padding-left:14px;position:relative;line-height:1.4;}
-  .inone-detail ul li::before{content:'→';position:absolute;left:0;color:#6b6b6b;font-size:.72rem;}
-  .inone-detail .inherits{margin-top:8px;font-size:.75rem;color:#6b6b6b;border-top:1px solid #d8d5ce;padding-top:8px;}
-  .inone-hint{font-size:.75rem;color:#6b6b6b;text-align:center;margin-top:8px;}
-</style>
-<div class="inone-pyramid-wrap">
+Die Rollen sind aufeinander aufbauend — jede höhere Stufe schließt alle Rechte der darunter liegenden Stufen ein.
-  <div class="inone-level l1" onclick="inoToggle('id1')"><div class="inone-bar"><span class="inone-label">System Administrator</span><span class="inone-desc">Höchste Stufe</span></div></div>
-  <div class="inone-level l2" onclick="inoToggle('id2')"><div class="inone-bar"><span class="inone-label">Administrator</span><span class="inone-desc">Stammdaten &amp; Einstellungen</span></div></div>
-  <div class="inone-level l3" onclick="inoToggle('id3')"><div class="inone-bar"><span class="inone-label">User Extended</span><span class="inone-desc">Erweiterte Sachbearbeitung</span></div></div>
-  <div class="inone-level l4" onclick="inoToggle('id4')"><div class="inone-bar"><span class="inone-label">User</span><span class="inone-desc">Reguläre Sachbearbeitung</span></div></div>
-  <div class="inone-level l5" onclick="inoToggle('id5')"><div class="inone-bar"><span class="inone-label">Infopoint Extended</span><span class="inone-desc">Erweiterter Infopoint-Zugang</span></div></div>
-  <div class="inone-level l6" onclick="inoToggle('id6')"><div class="inone-bar"><span class="inone-label">Infopoint</span><span class="inone-desc">Minimalrolle für Backend-Zugang</span></div></div>
-  <div class="inone-level l7" onclick="inoToggle('id7')"><div class="inone-bar"><span class="inone-label">Kunde</span><span class="inone-desc">Nur Kundenoberfläche · kein Backend-Zugang</span></div></div>
-</div>
-<div class="inone-detail" id="id1"><h4>System Administrator</h4><ul><li>Systemkritische Massenvorgänge (z. B. Vertragsverlängerungen)</li><li>Verwaltung von Zahlungsdateien (DTA/DTAUS)</li><li>Schließt alle Rechte aller darunter liegenden Rollen ein</li></ul><p class="inherits">↳ Höchste Berechtigungsstufe</p></div>
+^ Stufe ^ Rolle ^ Zusätzliche Funktionen (jeweils ergänzend) ^
-<div class="inone-detail" id="id2"><h4>Administrator</h4><ul><li>Zahlläufe durchführen und Abrechnungen exportieren</li><li>Standort-Öffnungszeiten, Feiertage und Pakete verwalten</li><li>Zahlungsarten, Buchungsvorlagen und globale Einstellungen pflegen</li><li>Rollen an Mitarbeitende vergeben und Verwaltungszugänge einrichten</li><li>Zugriffstokens (z. B. für Schnittstellen) verwalten</li></ul><p class="inherits">↳ Schließt User Extended, User, Infopoint Extended und Infopoint ein</p></div>
+| ▲ 6 – höchste | **System Administrator** | Systemkritische Massenvorgänge (z. B. Vertragsverlängerungen), Verwaltung von Zahlungsdateien (DTA) |
-<div class="inone-detail" id="id3"><h4>User Extended</h4><ul><li>Stornierungen vornehmen</li><li>Verträge und Kurse löschen</li><li>Zahlungsart und Status von Rechnungen ändern</li><li>Rechnungen aus Abrechnungen erstellen</li></ul><p class="inherits">↳ Schließt User, Infopoint Extended und Infopoint ein</p></div>
+| ▲ 5 | **Administrator** | Rollenvergabe, Zahlläufe, Abrechnungsexporte, globale Einstellungen, Öffnungszeiten, Pakete, Zugriffstokens |
-<div class="inone-detail" id="id4"><h4>User</h4><ul><li>Kurse anlegen und bearbeiten (Details, Termine, Online-Status, Bilder)</li><li>Buchungen und Check-ins verwalten</li><li>Kunden, Kundengruppen und Aktivitäten pflegen</li><li>Zahlungen erfassen und Rechnungen versenden</li><li>Statistik-Auswertungen aufrufen</li></ul><p class="inherits">↳ Schließt Infopoint Extended und Infopoint ein</p></div>
+| ▲ 4 | **User Extended** | Stornierungen, Verträge und Kurse löschen, Zahlungsart und Rechnungsstatus ändern |
-<div class="inone-detail" id="id5"><h4>Infopoint Extended</h4><ul><li>Alle Infopoint-Funktionen mit erweitertem Funktionsumfang</li></ul><p class="inherits">↳ Schließt Infopoint ein</p></div>
+| ▲ 3 | **User** | Kurse anlegen/bearbeiten, Buchungen und Check-ins, Kunden pflegen, Zahlungen erfassen, Statistik |
-<div class="inone-detail" id="id6"><h4>Infopoint</h4><ul><li>Anmeldung an der Verwaltungsoberfläche</li><li>Einsicht in Termine, Kurse und Belegungen</li><li>Aufgaben und Dokumente ansehen</li><li>Nachrichten senden und Auskunft am Infopoint geben</li></ul><p class="inherits">↳ Mindestvoraussetzung für jeden Backend-Zugang</p></div>
+| ▲ 2 | **Infopoint Extended** | Erweiterter Funktionsumfang am Infopoint |
-<div class="inone-detail" id="id7"><h4>Kunde</h4><ul><li>Ausschließlich Zugang zur Kunden-/Buchungsoberfläche (Self-Service)</li><li>Kein Zugang zur Verwaltung</li></ul><p class="inherits">↳ Außerhalb der Backend-Hierarchie</p></div>
+| ▲ 1 – Basis | **Infopoint** | Anmeldung am Backend, Einsicht in Termine/Kurse/Belegungen, Nachrichten senden |
+| * | **Übungsleiter** | Self-Service-Zugang im Frontend: eigene Dienstverträge und Stundenzettel einsehen/drucken, Kurse freigeben, Vertretungsgesuche und Bewerbungen auslösen |
+| — | //Kunde// | Nur Kundenoberfläche (Self-Service), **kein** Backend-Zugang |
-<p class="inone-hint">Die Hierarchie wird beim Login automatisch aufgelöst — Nutzer*innen erhalten alle Rechte ihrer Rolle und aller darunter liegenden Stufen.</p>
+> **Hinweis:** Jede Rolle schließt automatisch alle Rechte der darunter liegenden Stufen ein. Wer also die Rolle //Administrator// hat, kann auch alles, was //User//, //Infopoint Extended// und //Infopoint// dürfen.
-<script>
+==== Feldberechtigungen – Field-Level Security ====
-var _inoActive=null;
-function inoToggle(id){
-  var el=document.getElementById(id);
-  if(_inoActive&&_inoActive!==el)_inoActive.classList.remove('active');
-  el.classList.toggle('active');
-  _inoActive=el.classList.contains('active')?el:null;
-}
-</script>
-</HTML>
+Über die Rolle hinaus kann für einzelne **Datenfelder** eine **Mindestberechtigung** hinterlegt werden. Diese sogenannte **Field-Level Security** sorgt dafür, dass sensible Felder nur für Nutzer*innen sichtbar sind, deren Rolle die erforderliche Berechtigung mitbringt – alle anderen sehen das Feld schlicht nicht.
-===== Rollen und Berechtigungen in inOne =====
+==== Zusammenfassung ====
-===== Wie funktioniert der Zugriff in inOne? =====
+  * **RBAC** – Die Rolle bestimmt, welche Bereiche und Funktionen zugänglich sind.
+  * **Field-Level Security** – Die Feldberechtigung bestimmt, welche einzelnen Daten sichtbar sind.
+  * Beides greift automatisch im Hintergrund – Nutzer*innen sehen immer genau das, was für ihre Rolle freigegeben ist.
-[Produktname] verwendet ein sogenanntes **Role-Based Access Control**-System (kurz **RBAC**). Jeder Account erhält eine **Rolle**, und jede Rolle definiert, welche Bereiche und Funktionen zugänglich sind.
+===== Eine Funktion oder ein Feld fehlt? =====
-===== Rollen – Role-Based Access Control (RBAC) =====
+Wenn ein Menüpunkt, eine Funktion oder ein Datenfeld nicht sichtbar ist, kann das an der zugewiesenen Rolle liegen. In diesem Fall bitte an den **Admin der eigenen Einrichtung** wenden – das ist die Person, die in inOne die Rollenvergabe für die Einrichtung verwaltet.
-Beim RBAC werden Berechtigungen nicht einzeln pro Person vergeben, sondern gebündelt in **Rollen**. Jede Rolle steht für ein bestimmtes Aufgabenprofil und öffnet genau die Bereiche im System, die dafür nötig sind – nicht mehr und nicht weniger. Dieses Prinzip nennt sich auch **Least Privilege** (minimale Rechtevergabe).
+===== IP-Beschränkung =====
-In inOne gibt es beispielsweise **8 Rollen**, die einem Account zugewiesen werden können:
+Über die **Meta-Felder** im Nutzerprofil kann der Backend-Zugang auf einen definierten IP-Adressbereich beschränkt werden. Meldet sich ein Nutzer von einer IP-Adresse außerhalb des erlaubten Bereichs an, wird der Zugriff verweigert.
-^ Rolle ^ Beschreibung ^
+Dies ist besonders relevant für Rollen mit eingeschränktem Vertrauensniveau — z.B. studentische Hilfskräfte (HiWis), die nur aus dem Hochschulnetz heraus auf das Backend zugreifen dürfen.
-| [Rolle 1] | [Beschreibung] |
-| [Rolle 2] | [Beschreibung] |
-| ... | ... |
-Die Rolle wird beim Anlegen oder Bearbeiten eines Accounts festgelegt und steuert automatisch, welche Menüpunkte und Funktionen sichtbar sind.
-===== Zusammenfassung =====
-  * **RBAC** – Die Rolle bestimmt, welche Bereiche und Funktionen zugänglich sind.
-  * Die Berechtigungen greifen automatisch im Hintergrund – Nutzer*innen sehen immer genau das, was für ihre Rolle freigegeben ist.
-===== Eine Funktion oder ein Feld fehlt? =====
-Wenn ein Menüpunkt, eine Funktion oder ein Datenfeld nicht sichtbar ist, kann das an der zugewiesenen Rolle liegen. In diesem Fall bitte an den **Admin der eigenen Einrichtung** wenden – das ist die Person, die in [Produktname] die Rollenvergabe für die Einrichtung verwaltet.
+Die IP-Beschränkung wird im [[customer:edit|Kundendatensatz]] der betreffenden Person unter dem Reiter **Zusatzdaten** hinterlegt — als MetaKey **allowed_ip** mit dem gewünschten IP-Kreis als Wert (z.B. ''134.76.0.0/16'' für das Hochschulnetz).